Flowise, piattaforma di orchestrazione agentica low-code ampiamente adottata per costruire workflow AI, ha rimosso completamente i componenti AirtableAgent e CSVAgent dopo la scoperta di una vulnerabilità di esecuzione remota di codice con punteggio CVSS 9.4. L'advisory ZDI-26-546, pubblicato l'11 agosto 2026, documenta una falla non autenticata nel metodo run della classe Airtable_Agents che consente l'iniezione di codice Python arbitrario. La scelta del vendor di eliminare l'intera funzionalità piuttosto che correggerla indica una gravità strutturale che travalica il singolo bug.
- ZDI-26-546 / CVE-2026-69264: RCE non autenticata in Flowise con CVSS 4.0 9.4 CRITICAL, secondo il record CVE ufficiale.
- Il flaw risiede nel metodo
rundi Airtable_Agents: mancata validazione di stringa utente prima dell'esecuzione di codice Python. - Flowise ha corretto rimuovendo AirtableAgent e CSVAgent nella PR #6499, con circa 277 e 243 righe eliminate rispettivamente, non con una patch del codice.
- Timeline disclosure coordinata ZDI: report al vendor il 22 aprile 2026, rilascio pubblico l'11 agosto 2026, quasi quattro mesi di finestra di esposizione.
Il meccanismo: da input utente a code injection nel contesto Node.js
La vulnerabilità si attiva attraverso la catena di esecuzione tipica delle piattaforme di orchestrazione AI. L'agente Airtable_Agent riceve input dall'utente, lo elabora generando codice Python dinamico e lo esegue tramite Pyodide, il runtime Python in WebAssembly. Secondo l'advisory ZDI, il metodo run della classe Airtable_Agents non valida la stringa fornita dall'utente prima di utilizzarla per l'esecuzione di codice Python.
Questa mancata validazione apre un percorso di code injection. Il codice Python iniettato opera nel contesto del bridge JavaScript-Node.js, permettendo di sfuggire al sandboxing del runtime e di eseguire comandi a livello di sistema operativo nel processo Flowise. L'autenticazione non è richiesta per sfruttare la vulnerabilità: si tratta di esposizione diretta sulla superficie di rete.
"This vulnerability allows remote attackers to execute arbitrary code on affected installations of Flowise. Authentication is not required to exploit this vulnerability." — Zero Day Initiative, advisory ZDI-26-546
CVSS 9.4 e la classificazione ufficiale: numeri da record CVE
Il record CVE-2026-69264, pubblicato da GitHub come CNA, assegna alla vulnerabilità un punteggio CVSS 4.0 di 9.4 con livello CRITICAL. Il vettore completo — CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H — conferma l'accesso remoto senza interazione utente, con impatto massimo su confidenzialità, integrità e disponibilità sia del sistema vulnerabile che degli scope correlati.
Un elemento di complessità emerge dalla descrizione del record CVE, che tecnicamente si riferisce al componente CSVAgent con interpolazione di URI dati in template Python eseguito da Pyodide, non all'Airtable_Agent citato nel titolo ZDI. Il dossier non chiarisce se si tratti della stessa vulnerabilità con scope multiplo o di advisory separati con convergenza sulla stessa versione correttiva. Entrambi i componenti sono stati rimossi nella stessa PR.
La correzione come amputazione: perché il vendor ha scelto la rimozione
La PR #6499, mergiata il 10 giugno 2026 con commit 12e699cfb9de1a00b1073bfc990f64b525c19677, non modifica il codice vulnerabile: lo elimina. Il messaggio di commit — "fix(flowise-606): remove AirtableAgent and CSVAgent due to security v..." — documenta una scelta architetturale netta. Circa 277 righe di AirtableAgent.ts e 243 di CSVAgent.ts sono state cancellate.
Questo pattern è indicativo. Quando un vendor preferisce la rimozione di un'intera funzionalità al patching, il problema supera il singolo errore di implementazione. L'esecuzione dinamica di codice Python su input utente non strutturato rappresenta una classe di rischio intrinseca: la superficie di attacco è il modello stesso, non solo il parser. La versione 3.1.3, indicata dal record CVE come correttiva, è quella che chiude questa finestra rimuovendo i componenti.
La finestra temporale: 111 giorni tra report e disclosure
La timeline ZDI mostra un report al vendor il 22 aprile 2026 e un rilascio coordinato l'11 agosto 2026. Questo intervallo di circa 111 giorni rappresenta la finestra di esposizione per le installazioni non aggiornate. Il dossier non documenta se siano emersi exploit in-the-wild o proof-of-concept pubblici durante questo periodo, né identifica il ricercatore che ha scoperto la vulnerabilità.
Il dato di impatto concreto più rilevante per i lettori è la combinazione di tre fattori: esecuzione remota non autenticata, punteggio CVSS prossimo al massimo, e adozione crescente di Flowise in ambienti di produzione enterprise. Le piattaforme di orchestrazione AI low-code vengono deployate con privilegi di accesso a database, API e servizi interni: la compromissione del nodo Flowise equivale spesso alla compromissione dell'intero workflow.
Perche è importante
Il dossier non specifica la natura esatta dei dati esposti in installazioni compromesse. Non documenta se esistano varianti della vulnerabilità in altri agenti della piattaforma, né fornisce dettagli completi del meccanismo di exploit per l'Airtable_Agent specifico — il record CVE descrive tecnicamente il CSVAgent.
La fonte non indica misure correttive alternative alla rimozione dei componenti, né raccomandazioni operative per gli utenti che non possono aggiornare immediatamente. Non emerge, allo stato attuale, sovrapposizione infrastrutturale che colleghi l'attore a campagne di attacco note. L'identità del ricercatore e l'eventuale presenza di exploit pubblici restano non confermate.
Il caso ZDI-26-546 illustra una tensione strutturale dell'architettura AI attuale: la comodità dell'orchestrazione visiva si traduce in esecuzione dinamica di codice su input esterno, con confini di trust mal definiti tra il prompt dell'utente e i privilegi del sistema. La rimozione dei componenti vulnerabili da parte di Flowise è una soluzione radicale che lascia gli utenti con workflow interrotti, ma che riconosce l'inadeguatezza del sandboxing rispetto alla minaccia. Per le organizzazioni che hanno deployato agenti Airtable o CSV in produzione, la priorità è la verifica della versione installata e la valutazione di impatto sui processi automatizzati esistenti.
FAQ
Quali versioni di Flowise sono interessate?
Il record CVE indica Flowise precedente alla versione 3.1.3. Il dossier non specifica se la vulnerabilità Airtable_Agent interessi tutte le versioni precedenti o un sottoinsieme.
Perché il vendor ha rimosso i componenti invece di patcharli?
La PR #6499 elimina circa 277 e 243 righe di codice per AirtableAgent e CSVAgent rispettivamente. La scelta della rimozione suggerisce che la classe di rischio — esecuzione dinamica di codice Python su input utente — sia stata giudicata non gestibile con una correzione localizzata.
Il record CVE descrive CSVAgent, non Airtable_Agent: è lo stesso bug?
Il dossier non risolve questo potenziale mismatch. Entrambi i componenti sono stati rimossi nella stessa PR con la stessa motivazione di sicurezza, ma il record CVE tecnicamente descrive il CSVAgent con interpolazione URI dati in template Python.
Fonti
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.